Trojan:Win32/Powemet.A!attk и не только

@Joramormont · Регистрация: 06.11.2019

Студворк — интернет-сервис помощи студентам

Здравствуйте, Windows Defender второй день по несколько раз блокирует угрозу Trojan:Win32/Powemet.A!attk, а так же пару раз были другие трояны, но не успел зафиксировать.
SpyHunter 5 нашёл вроде, но нужно ждать 48 часов. Dr Web CureIt не нашёл ничего.

@thyrex · 10.07.2022, 00:08

Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема.

Добавлено через 1 минуту
Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос.

@Joramormont · 10.07.2022, 00:10 **[ТС]**

А как удалить активатор? Он портабельный

Добавлено через 46 секунд
Или я не понял, что подразумевается под "активатор"..

@thyrex · 10.07.2022, 00:20

KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика

@Joramormont · 10.07.2022, 00:27 **[ТС]**

Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать?

@thyrex · 10.07.2022, 00:44

Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново

Добавлено через 41 секунду
После удаления папки естественно перезагрузиться и смотреть реакцию Защитника

@Joramormont · 10.07.2022, 00:48 **[ТС]**

Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего?

@SQx · 10.07.2022, 06:34

Здравствуйте,

Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника.

P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe

@Joramormont · 10.07.2022, 12:17 **[ТС]**

Как ни странно, удаление папки kms ничего не дало.
https://disk.yandex.ru/d/BvK95v2QImcDog

@SQx · 12.07.2022, 02:15

Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы?

Могли бы также собрать следующий лог: Kaspersky Get System Info

@Joramormont · 12.07.2022, 10:52 **[ТС]**

Защитник срабатывает независимо от того, включаю я что либо или нет. Он срабатывает через 2-3 минуты после запуска, но в журнале время стоит как раз эти 2-3 минуты назад. Без интернета тоже срабатывает

@SQx · 13.07.2022, 01:19

В логах GSi также ничего вредоносного не заметил.

Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК.
Также могли пожалуйста также сменить пароль к учетной записи Windows.

@SQx · 13.07.2022, 14:45

Здравствуйте,

Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования.

@Joramormont · 13.07.2022, 15:10 **[ТС]**

Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной?

@SQx · 13.07.2022, 15:16

Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо

@Joramormont · 13.07.2022, 22:53 **[ТС]**

Ни обычная, ни расширенная версия к сожалению ничего не нашли

Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg

@SQx · 14.07.2022, 14:41

Здравствуйте,

Логи KVRT можете удалять.

Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней.

На данный момент пока у меня нет других подробностей. Спасибо.

@Joramormont · 14.07.2022, 22:14 **[ТС]**

Спасибо большое. Жду

@SQx · 19.07.2022, 13:17

Здравствуйте,

Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле?

@Sandor · 19.07.2022, 13:24

Если это KVRT, то упакуйте папку

C:\KVRT2020_Data\Reports

и прикрепите к сообщению.

@Joramormont · 19.07.2022, 18:10 **[ТС]**

KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю?

Новые блоги и статьи Все статьи Все блоги /
Копировать Windows на новый диск на UEFI damix 17.10.2026 https:/ / uriesk. wordpress. com/ 2016/ 11/ 01/ move-window-10-to-ssd-on-a-uefi-dualboot-system-with-basic-linux-tools/ TL DR Вставляем диск, а старый подключаем через переходник, грузимся с лайва. . .	ИИ не может найти нужный язык в списке Supersumestria 05.10.2026 Я ему даю вот такое изображение и прошу найти и подчеркнуть немецкий язык. Возвращает он вот это: https:/ / i. **********/ vqBWLe2. png Нужную строчку в 3й колонке просто выдумал. . Это. . .	Новая последняя моя музыка в SUNO zorxor 05.10.2026 Здравствуйте, дорогие мои друзья! С большой радостью я хотел бы представить вам свою новую последнею музыку, которую сгенерировала мне по моей просьбе нейросеть SUNO. С уважением, zorxor. Это. . .	Программный домашний кинотеатр russiannick 27.09.2026 Сподобился на программный домашний кинотеатр. В качестве ЯВУ по традиции выбрал js. В помощники взял Яндекс-Алису. Было создано три зала на разные интересы. исторические и ретро сериал Хичкок. . .
Беседа с ИИ о программистах, недопускающих к созданию и правке кода генеративные ИИ и причины этого zorxor 21.09.2026 Раньше я радовался или получал некоторые эмоции, пусть небольшие, но всё же, от самого процесса написания кода, рекомпиляции и запуска, видя постепенное развитие программы и прочее. А теперь лень. . .	Мобильное приложение ColorStep pavlinmavlin 17.09.2026 Реализовал приложение Красный, Зеленый, Синий в Unity3d + c#. Название изменил на ColorStep. Приложение прошло модерацию и теперь доступно для скачивания. Делал его сам, шаг за шагом — и вот,. . .	Запрет дублирования строк в табличной части Maks 13.09.2026 Реализация из решения ниже выполнена на нетиповом справочнике "Нормы ТО" с табличной часть "Виды ТО", разработанного в КА2, со следующими реквизитами: - ВидТО (СправочникСсылка. ВидыТО); - ВидГСМ. . .	Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Jin X 06.09.2026 Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Работая с форумом и нейросетями в браузере часто хочется что-то подкорректировать или добавить какого-то функционала. Ниже прикреплён. . .

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,196
	10.07.2022, 00:08
	Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема. Добавлено через 1 минуту Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:10 [ТС]
	А как удалить активатор? Он портабельный Добавлено через 46 секунд Или я не понял, что подразумевается под "активатор".. 0

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,196
	10.07.2022, 00:20
	KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:27 [ТС]
	Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать? 0

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,196
	10.07.2022, 00:44
	Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново Добавлено через 41 секунду После удаления папки естественно перезагрузиться и смотреть реакцию Защитника 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:48 [ТС]
	Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	10.07.2022, 06:34
	Здравствуйте, Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника. P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 12:17 [ТС]
	Как ни странно, удаление папки kms ничего не дало. https://disk.yandex.ru/d/BvK95v2QImcDog 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	12.07.2022, 02:15
	Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы? Могли бы также собрать следующий лог: Kaspersky Get System Info 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 01:19
	В логах GSi также ничего вредоносного не заметил. Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК. Также могли пожалуйста также сменить пароль к учетной записи Windows. 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 14:45
	Здравствуйте, Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 15:10 [ТС]
	Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 15:16
	Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 22:53 [ТС]
	Ни обычная, ни расширенная версия к сожалению ничего не нашли Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	14.07.2022, 14:41
	Здравствуйте, Логи KVRT можете удалять. Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней. На данный момент пока у меня нет других подробностей. Спасибо. 1

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	14.07.2022, 22:14 [ТС]
	Спасибо большое. Жду 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	19.07.2022, 13:17
	Здравствуйте, Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	19.07.2022, 18:10 [ТС]
	KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю? 0